Керівник відділу інформаційної безпеки з 23pds пов’ідомив про попередження безпекової команди Bitwarden і поширив його. Згідно з попередженням, версію npm 2026.4.0 CLI Bitwarden було відкликано: протягом 1,5 години з 5:57 до 7:30 за східним часом 22 квітня, через npm було поширено підмінений шкідливий пакет. Bitwarden офіційно підтвердив, що дані сховища паролів та виробничі системи не зазнали впливу.
Деталі атаки: ціль крадіжки в зловмисному завантаженні bw1.js
Зловмисне навантаження безшумно працювало під час встановлення пакета в npm, збираючи такі типи даних:
· GitHub і npm Token
· SSH ключі
· змінні середовища
· історію команд оболонки (Shell)
· хмарні облікові дані
· файли зашифрованих гаманців (включно з гаманцями MetaMask, Phantom і Solana)
Украдені дані витікали на домени, контрольовані зловмисниками, і подавалися до репозиторію GitHub через механізм персистентності. Багато команд криптовалют у CI/CD автоматизації використовують Bitwarden CLI для ін’єкції ключів і розгортання; будь-які процеси, які запускалися з ураженою версією, могли розкрити цінні ключі гаманців і API-облікові дані бірж.
Невідкладні кроки реагування для постраждалих користувачів
Лише користувачі, які встановили версію 2026.4.0 через npm у вікні з 5:57 до 7:30 за східним часом 22 квітня, мають виконати такі дії: негайно деінсталювати версію 2026.4.0; очистити кеш npm; здійснити ротацію всіх чутливих облікових даних, зокрема всіх API Token і SSH ключів; перевірити аномальну активність у процесах GitHub і CI/CD; оновитися до виправленої версії 2026.4.1 (або понизити версію до 2026.3.0, або завантажити з офіційного сайту Bitwarden офіційні підписані бінарні файли).
Передумови атаки: механізм довіреної публікації npm уперше використано
Безпековий дослідник Adnan Khan зазначив, що це — випадок відомого першого використання механізму довіреної публікації npm для компрометації софт-пакетів. Ця атака пов’язана з активністю атаки в ланцюгу постачання TeamPCP. Починаючи з березня 2026 року, TeamPCP здійснювала подібні атаки на безпекові інструменти Trivy, кодову безпекову платформу Checkmarx та AI-інструмент LiteLLM з метою вбудовування розробницьких інструментів у процеси збирання CI/CD.
Поширені запитання
Як підтвердити, чи встановлено уражену версію 2026.4.0?
Можна виконати npm list -g @bitwarden/cli, щоб перевірити встановлені версії. Якщо відображається 2026.4.0 і час встановлення припадає на період з 5:57 до 7:30 за східним часом 22 квітня, потрібно негайно вжити заходів реагування. Навіть якщо час встановлення невідомий, рекомендується самостійно здійснити ротацію всіх відповідних облікових даних.
Чи витікали дані сховища паролів Bitwarden?
Ні. Bitwarden офіційно підтвердив, що дані сховища паролів користувачів і виробничі системи не були скомпрометовані. Ця атака стосувалася лише процесу збирання для CLI; її мішенню були облікові дані розробника та файли зашифрованих гаманців, а не база даних паролів користувачів платформи Bitwarden.
Які ширші фонові обставини атаки в ланцюгу постачання TeamPCP?
TeamPCP, починаючи з березня 2026 року, розпочала серію атак на інструменти для розробників у ланцюгу постачання; серед постраждалих цілей були Trivy, Checkmarx і LiteLLM. Атака на Bitwarden CLI є частиною тієї ж серії активностей: її мета — вбудовування інструментів для розробників у процеси збирання CI/CD, щоб викрадати цінні облікові дані в автоматизованих конвеєрах.
Застереження: Інформація на цій сторінці може походити від третіх осіб і не відображає погляди або думки Gate. Вміст, що відображається на цій сторінці, є лише довідковим і не є фінансовою, інвестиційною або юридичною порадою. Gate не гарантує точність або повноту інформації і не несе відповідальності за будь-які збитки, що виникли в результаті використання цієї інформації. Інвестиції у віртуальні активи пов'язані з високим ризиком і піддаються значній ціновій волатильності. Ви можете втратити весь вкладений капітал. Будь ласка, повністю усвідомлюйте відповідні ризики та приймайте обережні рішення, виходячи з вашого фінансового становища та толерантності до ризику. Для отримання детальної інформації, будь ласка, зверніться до
Застереження.
Пов'язані статті
Lido пропонує виділити 2,500 заблокованих ETH для покриття нестачі через експлойт Kelp
Повідомлення Gate News, 24 квітня — Lido Labs шукає схвалення DAO, щоб виділити до 2,500 заблокованих Ethereum (приблизно $5.8 мільйона), щоб зменшити дефіцит rsETH, спричинений недавнім експлойтом Kelp, повідомляється в пропозиції, опублікованій у четвер.
Міст rsETH у Kelp DAO зазнав експлойту на основі LayerZero, який призвів до приблизно мільйон втрат минулого тижня, створивши відчутний дефіцит покриття rsETH із каскадними наслідками для DeFi. Вплив включав тиск на ринкову ставку, підвищені напруження в запозиченнях і кредитуванні, а також ризик вимушених розкриттів для користувачів, які були під загрозою через сейфи та стратегії з лупінгом. Атака спричинила занепокоєння щодо поганих боргів у Aave, де загальна заблокована вартість знизилася приблизно на мільярда після того, як атакувальник використав вкрадені активи як забезпечення, залишивши близько мільйона в поганому боргу.
Lido Labs підкреслила, що внесок 2,500 stETH буде доступний лише як частина повністю профінансованого пакета відновлення, призначеного для повного закриття дефіциту rsETH. Після пропозиції Lido EtherFi Foundation запропонувала внести 5,000 ETH для додаткового полегшення, а засновник і генеральний директор Aave Stani Kulechov оголосив про особисте пожертвування 5,000 ETH у фонд допомоги Aave's DeFi United.
Оскільки загальний дефіцит перевищує 100,000 ETH, Lido Labs очікує, що кілька криптопроєктів братимуть участь як зацікавлені сторони, а не те, що Lido виступатиме єдиним провайдером подушки безпеки.
GateNews32хв. тому
Slow Mist попереджає про MioLab, платформу malware-as-a-service, орієнтовану на криптоактиви та апаратні гаманці в macOS
Повідомлення Gate News, 24 квітня — Cистемний керівник із безпеки інформації Slow Mist 23pds повідомив у X, що MioLab є надзвичайно комерціалізованою платформою malware-as-a-service для macOS (MaaS), яку активно просувають на російських підпільних форумах; вона пропонує керування C2, інтеграцію API та налаштовані можливості атак
GateNews58хв. тому
Офіцерський капелан сил спеціального призначення США заарештований: використовуючи конфіденційну розвідінформацію, зробив ставки в Polymarket на арешт Мадуро, отримавши прибуток 400 тис. доларів
Міністерство юстиції США в окрузі Південного округу Нью-Йорка висунуло обвинувачення старшому сержанту спецпідрозділу армії США Gannon Ken Van Dyke, звинувативши його в тому, що він використав конфіденційну інформацію, щоб робити ставки в Polymarket на результат затримання Мадуро, отримавши прибуток приблизно 409,881 долар США (13 угод, 2025-12-27 до 2026-1-26). У заявлених обвинуваченнях фігурує незаконне використання конфіденційної інформації, викрадення непублічної інформації, шахрайство під час товарних угод, шахрайство з банківськими переказами та незаконні операції з грошима тощо. Це перший випадок федерального переслідування, в основі якого лежить арбітраж на основі інсайду та ставок на прогнозному ринку, і який може вплинути на майбутні напрями регулювання.
ChainNewsAbmedia1год тому
Іспанська поліція вилучила €400 тис. криптовалюти з незаконної платформи піратства манґи, 3 арешти
Повідомлення Gate News, 24 квітня — іспанська поліція в Альмерії вилучила два криптовалютні холодні гаманці з приблизно €400,000 під час рейду на найбільшу в країні незаконну платформу з поширення манґи. У зв’язку з цією операцією заарештовано троє осіб, які були задіяні, причому її розпочали
GateNews3год тому
ОФAC запроваджує санкції щодо камбоджійського сенатора за криптовалютну схему шахрайської мережі
OFAC санкціонувало камбоджійського сенатора через криптоскемну мережу
Офіс контролю за іноземними активами (OFAC) Міністерства фінансів США наклав санкції на камбоджійського сенатора Кок Ана, якого звинувачують у контролі над «схемними компаундамі» по всій Камбоджі, що ошукали американців. OFAC визначив Ана та ще 28 інших
CryptoFrontier3год тому
